Exchange Server 2016 - SE | 85 Prozent in Deutschland ungepatcht

Das CERT-Bund hat Ende August eine Zahl veröffentlicht, die den Patchstand deutscher Mailinfrastruktur zusammenfasst: Rund 85 Prozent der On-Premises-Exchange-Server in Deutschland sind für CVE-2026-62911 anfällig.

Microsoft hat die Lücke am 11. August 2026 mit dem August-Patchday geschlossen. Seit dem 14. August informiert das BSI deutsche Netzbetreiber über verwundbare Systeme in ihren Netzen.

CVE-2026-62911 ist ein Authentifizierungs-Bypass per Capture-Replay. Betroffen sind Exchange Server 2016, Exchange Server 2019 und die Subscription Edition. Exchange Online ist nicht betroffen. Der Angriff setzt am MRSProxy-Endpunkt an, über den Exchange Postfächer zwischen Servern und in Hybrid-Umgebungen verschiebt.

Isoliert betrachtet ist die Lücke eine Rechteausweitung, die einen bereits authentifizierten Kontext voraussetzt. Genau daher stammt der Widerspruch zwischen den Meldungen. Orange Tsai vom Forschungsteam DEVCORE hat sie bei Pwn2Own Berlin 2026 als Teil einer Kette aus drei Schwachstellen vorgeführt, die zusammen Codeausführung mit SYSTEM-Rechten ergibt. Eine Coercion-Technik erzwingt die Authentifizierung, erst danach greift der Replay. Aus der Rechteausweitung wird so ein Angriff ohne vorherige Anmeldung. Gelingt er, übernimmt der Angreifer laut Microsoft die Postfächer aller Benutzer: Mails lesen, Mails senden, Anhänge herunterladen.

Der Proof of Concept ist seit Ende August öffentlich. Bestätigte Angriffe in freier Wildbahn sind bisher nicht bekannt, was bei veröffentlichtem Exploit-Code kein belastbarer Zustand ist.

Die 85 Prozent sehen nach Nachlässigkeit aus, sind aber überwiegend ein Lizenzproblem. Der reguläre Support für Exchange 2016 und 2019 endete im Oktober 2025. Sicherheitsupdates gibt es seither nur über das kostenpflichtige Programm Extended Security Updates, und dieses Programm läuft im Oktober 2026 aus.

Dem BSI sind in Deutschland lediglich neun Server der Versionen 2016 und 2019 bekannt, auf denen ESU-Patches installiert sind. Ende Oktober 2025 liefen 92 Prozent von rund 33.000 deutschen On-Premises-Servern auf Versionen ohne Support.

Wer hier nicht gepatcht hat, hat in vielen Fällen keinen Patch zur Verfügung, sondern eine offene Migrationsaufgabe. Shadowserver zählte am 31. August weltweit 21.899 ungepatchte Systeme, die aus dem Internet erreichbar sind, davon 5.100 in Deutschland und 6.200 in den USA.

Die Grenze verläuft am Sicherheitsupdate vom August 2026. Alles darunter ist verwundbar, unabhängig davon, welches Cumulative Update darauf läuft. Diese Stände schließen die Lücke:

Den installierten Stand liest du in der Exchange Management Shell aus:

Vergleiche die ausgegebene Build-Nummer mit der Zeile deiner Version. Ist sie kleiner, fehlt das August-Update, und der MRSProxy-Endpunkt deines Servers steht offen.

Für die Subscription Edition steht das Sicherheitsupdate KB5121573 bereit, laut BSI der direkte Weg aus der Verwundbarkeit. Für 2016 und 2019 bleiben zwei Optionen: aktive ESU-Teilnahme oder den Zugriff aus dem Internet einschränken, bis der Server ersetzt ist.

Prüfe zuerst, ob OWA, ECP, Autodiscover und der MRSProxy überhaupt ungefiltert erreichbar sein müssen.

Ein veröffentlichter Exploit plus 85 Prozent ungepatchte Systeme ergibt ein Zeitfenster, das sich erfahrungsgemäß in Tagen schließt, nicht in Wochen. Für Exchange SE ist die Sache eine Wartungsaufgabe. Für 2016 und 2019 ist sie der Auslöser, den Ersatz endlich zu terminieren, denn im Oktober 2026 endet auch der letzte bezahlbare Patchweg.